1 Oracle Advanced Securityの概要

Oracle Advanced Securityは、透過的データ暗号化およびOracle Data Redactionの2つの機能で構成されます。

• 透過的データ暗号化
  透過的データ暗号化(TDE)は、透過的に保存データを暗号化します。これは、データベース・ユーザーとアプリケーションに対して透過的です。
• Oracle Data Redaction
  データ・リダクションを使用すると、Oracle Databaseから選択されたデータを動的にマスクできます。

1.1 透過的データ暗号化

透過的データ暗号化(TDE)は、透過的に保存データを暗号化します。これは、データベース・ユーザーとアプリケーションに対して透過的です。

TDEは、データベースをバイパスして基礎となるデータベース・ファイルを直接読み取ろうとする攻撃から機密データを保護するために使用します。このタイプの攻撃の例として、ランサムウェア(ほとんどのランサムウェアはディスクからデータをスクレイプし、恐喝に利用するために潜伏することもあります)、バックアップ・ファイルの紛失や盗難、文字列やcatなどのオペレーティング・システム・ツールを使用した保存データへの直接アクセスなどが挙げられます。データベース表の個別の列を暗号化したり、表領域全体を暗号化することができます。ほとんどすべての場合、表領域の暗号化を最優先にする必要があります。

透過的データ暗号化を使用するには、アプリケーションを変更する必要はありません。TDEではアプリケーションは以前と同様にシームレスに動作を継続することができます。ディスクに書き込まれるときにデータは自動的に暗号化され、アプリケーションがアクセスするときにデータは復号化されます。キー管理機能が組み込まれているため、暗号化キーの管理および保護などの複雑なタスクを行う必要はありません。

1.2 Oracle Data Redaction

データ・リダクションを使用すると、Oracle Databaseから選択されたデータを動的にマスクできます。

静的データ・マスキング(このタイプのマスキングの詳細は、Oracle Data Safe「Oracle Data Safe」またはOracle Data Masking and Subsetting「Oracle Data Masking and Subsetting」を参照)とは異なり、Oracle Data Redactionでは、格納されているデータが実際に変更されることはありません。単に、そのデータの表現を問合せ時に変更することで、実際のデータ値が確認できないようにしているセッションで機密情報が漏洩しないようにして、認可ユーザーには許容可能なセッション条件の下でデータを使用できるようにしています。

データ・リダクションは、SQL問合せによってデータが返される前にリダクションを実行します。リダクションは、特定のデータベース・ユーザーに対して選択した機密データが選択的に不明瞭化されるようにする必要がある本番システムに適しています。データはリダクションされますが、Oracle Databaseはすべてのデータを通常どおり処理し、バックエンドの参照整合性制約を保持できます。データ・リダクションは、PIIなどの機密データが認可されていない個人に開示されることを最小限に抑えて、ペイメント・カード業界データ・セキュリティ基準(PCI DSS)やサーベンス・オクスリー法などの業界の規制に準拠するために役立ちます。